ไมโครซอฟท์ร่วมกับ Cloudflare ประกาศความสำเร็จในการสกัดกั้นเครือข่ายฟิชชิ่งขนาดใหญ่ที่มีชื่อว่า RaccoonO365 ซึ่งให้บริการแบบ Phishing-as-a-Service (PhaaS) โดยถูกใช้เพื่อขโมยข้อมูลบัญชี Microsoft 365 จากเหยื่อในกว่า 94 ประเทศทั่วโลก และเกี่ยวข้องกับอาชญากรรมไซเบอร์หลายรูปแบบ ตั้งแต่การฉ้อโกง การเรียกค่าไถ่ ไปจนถึงการเจาะระบบต่อเนื่อง

หน่วย Digital Crimes Unit (DCU) ของไมโครซอฟท์ ได้ประสานงานกับทีม Cloudforce One และฝ่าย Trust and Safety ของ Cloudflare ในการเข้ายึดเว็บไซต์และบัญชี Worker ที่เชื่อมโยงกับเครือข่าย RaccoonO365 จำนวน 338 รายการ โดยพบว่ากลุ่มนี้ใช้ชุดเครื่องมือฟิชชิ่งที่มีการฝัง CAPTCHA ปลอม และระบบหลีกเลี่ยงการตรวจจับอัตโนมัติ เพื่อหลอกเหยื่อให้กรอกข้อมูลสำคัญ เช่น รหัสผ่านบัญชี Microsoft, คุกกี้, และข้อมูลจาก OneDrive หรือ SharePoint

ข้อมูลที่ถูกขโมยถูกนำไปใช้ในการโจมตีทางการเงิน การแบล็กเมล์ และเป็นจุดเริ่มต้นของการเข้าถึงเครือข่ายองค์กรอื่น ๆ โดยเฉพาะอย่างยิ่ง ในเดือนเมษายนที่ผ่านมา มีการพบว่า RaccoonO365 ใช้แคมเปญฟิชชิ่งในธีมภาษี เพื่อโจมตีองค์กรในสหรัฐฯ มากกว่า 2,300 แห่ง รวมถึงหน่วยงานด้านสาธารณสุขกว่า 20 แห่ง

“RaccoonO365 phishing emails are often a precursor to malware and ransomware, which can directly impact hospitals by delaying treatment, exposing sensitive data, and causing major financial losses.” (อีเมลฟิชชิ่งจาก RaccoonO365 มักเป็นจุดเริ่มของมัลแวร์และแรนซัมแวร์ ซึ่งอาจส่งผลโดยตรงต่อโรงพยาบาล เช่น ทำให้การรักษาล่าช้า ข้อมูลรั่วไหล และเกิดความสูญเสียทางการเงินมหาศาล) Steven Masada, ที่ปรึกษากฎหมายของ Microsoft DCU กล่าว

RaccoonO365 ให้บริการผ่าน Telegram แบบปิด โดยขายชุดฟิชชิ่งเป็นแพ็กเกจรายเดือนและรายไตรมาส ตั้งแต่ราคา $355 ถึง $999 พร้อมรับชำระด้วยคริปโต เช่น USDT หรือ Bitcoin โดย Microsoft ประเมินว่ากลุ่มนี้ทำรายได้ไปแล้วอย่างน้อย $100,000 และอาจมีผู้สมัครใช้งานจริงมากกว่าที่ระบุในบันทึก

จากการสืบสวนเพิ่มเติม DCU ยังสามารถระบุตัวผู้นำของเครือข่ายได้ว่าเป็น Joshua Ogundipe ซึ่งอาศัยอยู่ในไนจีเรีย และเป็นผู้มีความเชี่ยวชาญด้านการเขียนโปรแกรม โดยเป็นผู้พัฒนาหลักของระบบนี้ ทั้งยังพบเบาะแสว่ามีความเชื่อมโยงกับแฮกเกอร์ที่พูดภาษารัสเซีย ผ่านการใช้บอต Telegram ที่ตั้งชื่อเป็นภาษารัสเซีย

ในเดือนพฤษภาคมที่ผ่านมา ไมโครซอฟท์ก็เคยจัดการกับเครือข่าย Lumma Stealer ซึ่งเป็นบริการมัลแวร์แบบ MaaS ด้วยการยึดโดเมนกว่า 2,300 รายการ

ปฏิบัติการในครั้งนี้ถือเป็นอีกหนึ่งความร่วมมือที่มีประสิทธิภาพระหว่างภาคเอกชนและหน่วยงานด้านความปลอดภัยไซเบอร์ ในการปราบปรามภัยคุกคามดิจิทัลที่ส่งผลต่อทั้งองค์กรและบุคคลทั่วโลก

ที่มา – bleepingcomputer.com